腾讯新工具：让 AI 写的代码不再“幻觉”
2026 年 6 月 5 日，腾讯云在大会上扔出了个新家伙——CodeBuddy Security。这玩意儿听着挺唬人，说是专门对付 AI 写代码时的那些漏洞。毕竟现在大家都有点担心：AI 写得挺快，但代码里是不是藏了不该有的坑？
问题出在哪？AI 确实挺聪明，但不够“稳”
说实话，最近看到 AI 挖漏洞的能力，心里挺复杂的。一方面得承认，这技术确实牛。上个月有报道说，某个大模型在刚开始跑的时候，一个月就扒出了 10,000 个高风险漏洞，而且准确率超过 90%。这要是拿传统的静态分析工具（SAST）去比，确实是被甩在后面的。
但转念一想，这东西真能直接拿去用吗？我觉得挺悬的。腾讯云云丁实验室测过，AI 找漏洞只要 3 分钟，可后面让人工去核实，得花 3 天。这一来一回，安全团队累得半死，工作量根本没减。
而且，直接用大模型还有个头疼的问题：太飘了。
你给它扔一整本代码库进去，它根本不知道重点在哪，注意力被稀释，结果就是要么漏报，要么瞎报。我试过几次类似的模型，跑十次结果都不一样。对于公司里那种必须稳定运行的发布流水线来说，这种“随机性”简直是灾难。
腾讯的解法：别指望 AI 一步到位
腾讯没想着把 AI 当万能钥匙，而是搞了个“双引擎”的活儿：一个负责吹牛（找潜在漏洞），一个负责验货（确认真实性）。
具体来说，他们把自家 AI 引擎和一个叫 Xcheck 的静态分析工具搭在了一起。
- AI 干啥的？ 让它去碰那些传统工具看不懂的“深层逻辑”问题，比如跨模块的内存泄漏、协议状态不对这些。AI 在这方面确实有点灵性。
- Xcheck 干啥的？ 这是个老派工具，跑在本地，离线运行，专治各种“已知问题”。它的优点是结果很死板，非常确定。
这两个家伙分工明确，最后把结果合在一起，去重。这样既保了覆盖面，又稳了准确性。
扫描策略：别把 AI 当神
这里有个细节挺有意思。系统不会傻乎乎地把整个代码库一股脑塞给 AI。它会先识别出哪些模块风险高，然后让 AI“分模块、多轮次”地扫。
这就好比查房子，你不会把整栋楼一次性全敲了，而是先挑可疑的房间，一轮一轮地查。这样 AI 的注意力就集中了，也不会因为代码太长而“晕头转向”。
验证环节：别让 AI 自己骗自己
AI 有个毛病，容易“幻觉”——也就是瞎编。它可能会说“这里有漏洞”，其实根本不存在，或者触发条件根本跑不通。
为了解决这个问题，CodeBuddy 加了一步：二次验证。
系统会让 AI 自己写一段代码去复现这个漏洞（也就是 PoC），然后在一个隔离的沙箱里跑通。如果这段代码真的能跑出来报错，那才算数。安全人员收到的不再是“疑似漏洞”，而是铁证。
还能自我进化
最让我觉得有点意思的是，这个系统还能“学”。一旦 AI 确认了某个漏洞路径，它就会自动把这个路径变成 Xcheck 的检测规则。
这意味着，下次再扫同样的代码，静态工具就能直接抓出来，不用每次都费劲去调用大模型。省下的算力，估计能省下一大笔钱。
效果怎么样？
目前看来，这玩意儿确实有点东西。
外部方面，NVIDIA、Google、Meta 这些大厂都来找过，修复了不少有效漏洞，官方也都认账了。
内部方面，腾讯自己早就用起来了，发布前能挡住不少风险。
至于市场，现在也开放试用了。
总的来说，我觉得这个方向是对的。以前我们要么指望 AI 全知全能，要么死死守着传统工具。现在这种“人机协作”的模式，既利用了 AI 的聪明劲儿，又用工程手段给它套上了缰绳。虽然离“完全自动化”还有距离，但总归是往前迈了一大步。
写在最后
看到这套系统落地，心情挺微妙的。一方面，AI 辅助开发确实越来越强，那种“分模块、多轮次”的策略，说明开发者们开始懂得如何驾驭 AI 了，而不是被 AI 带着走。
另一方面，这也提醒我们：代码安全这事儿，短期之内可能还是得靠人来把关。 至少在未来几年，完全甩手给 AI 的时代恐怕还到不了。
如果你也是做安全或者开发的，不妨试试这个思路：别迷信 AI 能解决所有问题，先让它干活，再让人拿着鞭子去检查。
注：本文基于 2026 年 6 月 5 日腾讯云 AI 工业应用大会发布的内容整理。
